CVE-2025-12609
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W CodeAstro Gym Management System 1.0 wykryto podatność w pliku /admin/update-progress.php. Manipulacja argumentem id/ini_weight prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji lub usunięcia informacji. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Jak najszybciej zaktualizuj CodeAstro Gym Management System do wersji zawierającej poprawkę lub zastosuj środki zaradcze, takie jak walidacja danych wejściowych i ograniczenie dostępu do pliku /admin/update-progress.php. Rozważ wdrożenie WAF w celu blokowania prób wstrzyknięcia SQL.
Inne podatności w CodeAstro Gym Management System
Zobacz wszystkie- CVE-2025-13172Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność na iniekcję SQL w nieznanej funkcji pliku /admin/view-member-report.php. Manipulacja argumentem ID prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2025-12261Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność SQL injection w pliku /admin/actions/remove-announcement.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany.
- CVE-2025-11593Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /admin/actions/delete-equipment.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2025-11591Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /admin/actions/delete-member.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11590Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /admin/equipment-entry.php. Manipulacja argumentem ename prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany.
- CVE-2025-11588Średnie
W systemie CodeAstro Gym Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /customer/index.php. Manipulacja argumentem fullname prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in CodeAstro Gym Management System 1.0. Affected by this issue is some unknown functionality of the file /admin/update-progress.php. Performing a manipulation of the argument id/ini_weight results in sql injection. The attack may be initiated remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS